Rigsadvokatmeddelelsen, afsnittet: Databeskyttelse - Straffesager

Rigsadvokatmeddelelsen, afsnittet: Databeskyttelse - Straffesager

1.

Overblik og tjekliste

Politiet skal under efterforskningen være særligt opmærksom på

Anklagemyndigheden skal være særligt opmærksom på

2.

Politiets efterforskning og sagsbehandling

Se pkt. 3 om sagsbehandling og forberedelse.

3.

Sagsbehandling og forberedelse

3.1.

Datatilsynets rolle

Datatilsynet er den centrale uafhængige myndighed, der fører tilsyn med, at reglerne om databeskyttelse bliver overholdt, herunder reglerne i databeskyttelsesforordningen, databeskyttelsesloven, retshåndhævelsesloven og dele af TV-overvågningsloven.

Der henvises til Datatilsynets hjemmeside www.datatilsynet.dk.

Borgere mv. kan klage over eller indberette en overtrædelse af de databeskyttelsesretlige regler til Datatilsynet, men kan også vælge at anmelde et forhold direkte til politiet.

Når der klages over eller indberettes en overtrædelse til Datatilsynet, og tilsynet vurderer, at overtrædelsen er af en sådan karakter, at den bør undergives strafforfølgning, kan Datatilsynet indgive en politianmeldelse.

Der henvises til pkt. 3.2 ., pkt. 3.4. og pkt. 3.5 . for nærmere om Datatilsynets bistand i forbindelse med efterforskningen og forberedelsen.

3.2.

Bistand under sagsbehandlingen

3.2.1.

Kontaktpersoner hos Datatilsynet, Rigspolitiet og Rigsadvokaten

Der er udpeget kontaktpersoner på databeskyttelsesområdet i Datatilsynet, Rigspolitiets Databeskyttelsesenhed og Rigsadvokatens Databeskyttelsesenhed.

Kontaktpersonerne kan kontaktes på tværs af de respektive myndigheder med henblik på afklaring af spørgsmål af databeskyttelsesretlig karakter, der kan opstå under sagsbehandlingen, og som ikke kan afklares ved inddragelse af den lokale anklagemyndighed eller i samarbejde med statsadvokaten.

Listen over kontaktpersoner findes på anklagemyndighedens Vidensbase .

Rigspolitiets Databeskyttelsesenhed fungerer som kontaktpunkt under sagernes efterforskning.

Rigsadvokatens Databeskyttelsesenhed fungerer som kontaktpunkt, når sagerne er overgivet til anklagemyndigheden.

Datatilsynet sender en kopi af alle tilsynets politianmeldelser vedrørende overtrædelse af databeskyttelsesreglerne til Rigspolitiets Databeskyttelsesenhed og Rigsadvokatens Databeskyttelsesenhed til orientering.

3.2.2.

Rigsadvokatens bistand i sager vedr.

grænseoverskridende kriminalitet

Sager om overtrædelse af databeskyttelsesreglerne kan – f.eks. når det drejer sig om ulovlig offentliggørelse af personoplysninger på udenlandske hjemmesider eller sociale medier – have international karakter.

Som i andre sager om grænseoverskridende kriminalitet kan det derfor være relevant at overveje behovet for international retshjælp.

Spørgsmål vedrørende international retshjælp kan rettes til International Enhed hos Rigsadvokaten.

Der henvises til Rigsadvokatmeddelelsens afsnit om International retshjælp og om Indhentelse af elektroniske beviser fra internationale internetserviceudbydere (Facebook, Google mv.) .

I de tilfælde, hvor det overvejes at inddrage Datatilsynet, skal det bemærkes, at sager mod virksomheder, der opererer i flere lande, skal håndteres af tilsynsmyndigheden i det EU-land, hvor virksomheden har sit europæiske hovedkontor, jf. forordningens artikel 55.

Der henvises til https://www.datatilsynet.dk/hvad-siger-reglerne/vejledning/internationalt-/danmark-eu-og-resten-af-verden/internationale-virksomheder

3.2.3.

Bistand fra National enhed for Særlig Kriminalitet (NSK) – Nationalt Cyber Crime Center (NC3)

I konkrete sager kan National enhed for Særlig Kriminalitet (NSK) – Nationalt Cyber Crime Center (NC3) bistå Datatilsynet og politikredsene under efterforskningen, herunder i forbindelse med bevissikring, gennemgang af beslaglagte datamedier mv.

3.3.

Særlige retningslinjer

Rigsadvokaten har fastsat særlige retningslinjer for behandlingen af sager om overtrædelse af databeskyttelsesforordningen og databeskyttelsesloven.

Retningslinjerne indebærer blandt andet, at

3.4.

Sager, som er anmeldt af Datatilsynet

3.4.1.

Datatilsynets politianmeldelse med henblik på tiltalerejsning

Datatilsynet indgiver politianmeldelse med henblik på tiltalerejsning, hvis tilsynet i en konkret sag vurderer, at sagen er fuldt oplyst, og at den pågældende overtrædelse bør undergives strafforfølgning.

Politianmeldelsen ledsages af en redegørelse for Datatilsynets vurdering af sagen, herunder bødeniveauet.

Sagsbehandleren hos Datatilsynet står til rådighed for spørgsmål til sagen fra politikredsen.

Hvis anklagemyndigheden er uenig i Datatilsynets vurdering, følges retningslinjerne i Rigsadvokat-meddelelsens afsnit ”Samarbejdet med særmyndigheder i særlovssager” .

Anklagemyndigheden skal orientere Datatilsynet ved tiltalerejsning.

3.4.1.1.

Nye oplysninger i sagen

Hvis der efter politianmeldelsen fremkommer væsentlige nye oplysninger i sagen, f.eks. at sigtede er tidligere straffet af betydning for sagen, som det ikke kan antages, at Datatilsynet var bekendt med på tidspunktet for politianmeldelsen, skal Datatilsynet have lejlighed til at afgive en supplerende udtalelse på baggrund af de nye oplysninger.

3.4.2.

Datatilsynets politianmeldelse med anmodning om yderligere efterforskning

Når Datatilsynet indgiver politianmeldelse med henblik på yderligere efterforskning, afventer Datatilsynet politiets afslutning af efterforskningen og anklagemyndighedens forelæggelse af sagen med henblik på Datatilsynets vurdering af tiltalespørgsmålet, herunder en indstilling om sanktionsspørgsmålet, se nærmere pkt. 3.5.2.

3.4.2.1.

Datatilsynets politianmeldelse ved sager af særlig kompleks eller hastende karakter

I særlige tilfælde, hvor sagen er af kompleks eller hastende karakter, kan der være behov for mere specifik og/eller hurtig bevissikring, som tilsiger et nærmere samarbejde mellem Datatilsynet og politiet.

Når Datatilsynet har indgivet en politianmeldelse med anmodning om assistance til bevissikring i en kompleks og/eller hastende sag, skal sagsbehandleren hos henholdsvis Datatilsynet og i politikredsen hurtigst muligt herefter indgå i en dialog med henblik på afklaring af sagens videre forløb.

Hvis det vurderes relevant, skal en anklager fra den relevante politikreds inddrages i dialogen.

Dialogen skal som udgangspunkt omfatte en drøftelse af

Dialogen skal initieres af den relevante sagsbehandler i politikredsen.

Forinden politiet retter henvendelse til sagsbehandleren i Datatilsynet, skal det være klarlagt, hvorvidt det i den konkrete sag vil være relevant at inddrage en anklager.

3.5.

Sager, som ikke er anmeldt af Datatilsynet

3.5.1.

Overtrædelser, hvis strafværdighed er tvivlsom

Hvis politikredsen efter modtagelsen af en anmeldelse fra en borger eller virksomhed mv. vurderer, at det er uklart, om der foreligger en overtrædelse, der bør undergives strafforfølgning, skal politikredsen overveje, om der allerede i forbindelse med efterforskningen skal indhentes en foreløbig udtalelse om overtrædelsens strafværdighed fra Datatilsynet, medmindre anmeldelsen på det foreliggende grundlag kan afvises som åbenbart grundløs, jf. retsplejelovens § 749.

3.5.1.1.

Datatilsynets foreløbige udtalelse om en overtrædelses strafværdighed

På baggrund af den foreløbige udtalelse fra Datatilsynet kan det afklares, hvorvidt overtrædelsen efter tilsynets opfattelse har en alvor, der tilsiger en strafferetlig behandling af sagen.

Ved eventuelle tvivlsspørgsmål af databeskyttelsesretlig karakter kan Datatilsynets kontaktpersoner kontaktes telefonisk forud for sagens forelæggelse, se nærmere ovenfor pkt. 3.2.1.

3.5.1.1.1.

Indhold af forelæggelsen

En sag, der forelægges for Datatilsynet til en foreløbig udtalelse om en overtrædelses strafværdighed, skal som udgangspunkt indeholde mindst følgende oplysninger

Politikredsen skal i forbindelse med oversendelsen til Datatilsynet anonymisere personoplysninger, som åbenbart ikke er relevante for sagens behandling.

Det bemærkes, at ordningen vedrørende Datatilsynets foreløbige udtalelse om en overtrædelses strafværdighed ikke bør anvendes til at afklare andre spørgsmål omkring efterforskningen mv. Sådanne spørgsmål bør i første omgang søges afklaret i politikredsen, herunder ved inddragelse af den lokale anklagemyndighed, ligesom statsadvokaten kan kontaktes efter behov.

3.5.1.1.2.

Hvis Datatilsynet vurderer, at der er tale om et strafværdigt forhold

Hvis Datatilsynet foreløbigt vurderer, at der er tale om et strafværdigt forhold, skal sagen sendes til videre efterforskning i politikredsen.

Herefter følges fremgangsmåden som anført under pkt. 3.5.2.

3.5.1.1.3.

Hvis Datatilsynet vurderer, at der ikke er tale om et strafværdigt forhold

Hvis Datatilsynet vurderer, at der er tale om et forhold, der af Datatilsynet ville blive afvist eller sanktioneret med tilsynets korrigerende beføjelser efter databeskyttelsesforordningens artikel 58 (f.eks. et påbud), kan politikredsen vurdere spørgsmålet om eventuel henlæggelse eller påtaleopgivelse efter retsplejelovens §§ 749 eller 721.

Ved en eventuel henlæggelse eller påtaleopgivelse skal det overvejes, om henlæggelsen/påtaleopgivelsen, ud over den almindelige klagevejledning efter retsplejeloven, skal ledsages af en vejledning om, at borgeren mv. har mulighed for at klage over en behandling af sine personoplysninger til Datatilsynet, jf. den generelle vejledningspligt efter forvaltningslovens § 7.

3.5.2.

Utvivlsomt strafværdige overtrædelser

Når politikredsen modtager en anmeldelse fra en borger eller virksomhed mv., og det må lægges til grund, at der er tale om en overtrædelse af en sådan karakter, at den bør undergives strafforfølgning, skal politiet foretage den nødvendige og tilstrækkelige efterforskning i sagen, f.eks. ved indhentelse af nærmere oplysninger om de faktiske forhold, afhøringer mv.

Ved eventuelle tvivlsspørgsmål af databeskyttelsesretlig karakter, der opstår under efterforskningen og/eller sagsbehandlingen af utvivlsomt strafværdige overtrædelser, kan politikredsen som udgangspunkt kontakte Rigspolitiets Databeskyttelsesenhed for nærmere vejledning.

Se nærmere om kontaktpersoner ovenfor pkt. 3.2.1.

3.5.2.1.

Forelæggelse for Datatilsynet

Datatilsynet skal høres, inden der træffes afgørelse om tiltalespørgsmålet.

Høringssvaret fra Datatilsynet skal tillægges vægt ved vurderingen af sagen.

Det fremgår af forarbejderne til databeskyttelsesloven ( L 68 af 25. oktober 2017, de alm. bemærkninger pkt. 2.8.3.7 ).

Udtalelsen fra Datatilsynet vil, ligesom i sager som anmeldes af Datatilsynet, jf. pkt. 3.4 , indeholde tilsynets vurdering af tiltalespørgsmålet, herunder en indstilling om sanktionsspørgsmålet.

Datatilsynets udtalelse om sanktionsspørgsmålet omfatter også – i det omfang det er muligt – en redegørelse om sanktionsniveauet i andre EU-medlemslande.

3.5.2.1.1.

Indhold af forelæggelsen

En sag, der forelægges for Datatilsynet, skal som udgangspunkt indeholde mindst følgende oplysninger

Anklagemyndigheden skal være opmærksom på, om den sigtede er tidligere straffet af betydning for sagen.

Hvis den sigtede tidligere er straffet af betydning for sagen, skal det oplyses til Datatilsynet i det omfang, det må antages at have betydning for Datatilsynets vurdering af sanktionsspørgsmålet.

Anklagemyndigheden skal i forbindelse med oversendelsen anonymisere personoplysninger, som åbenbart ikke er relevante for sagens behandling.

3.6.

Overtrædelser, som anmeldes til begge myndigheder

Hvis det fremgår, at en anmeldelse/henvendelse både er sendt til Datatilsynet og til politiet, skal politikredsen som udgangspunkt afvente Datatilsynets afgørelse.

Politikredsen kan i den forbindelse kontakte Datatilsynet og gøre tilsynet opmærksom herpå.

Når Datatilsynet har truffet afgørelse, skal politikredsen viderebehandle sagen i overensstemmelse med retningslinjerne i dette afsnit af Rigsadvokatmeddelelsen.

3.7.

Forelæggelse for statsadvokaturen

Politikredsen skal forelægge tiltalespørgsmålet (herunder strafpåstanden) for statsadvokaten i alle sager om overtrædelse af de databeskyttelsesretlige regler.

Sager, hvor politikredsen vurderer, at der kan ske henlæggelse eller påtaleopgivelse efter retsplejelovens §§ 749 eller 721 skal dog ikke forelægges for statsadvokaten, hvis beslutningen herom er i overensstemmelse med den foreløbige udtalelse fra Datatilsynet, jf. ovenfor pkt. 3.5.1.1., eller hvis der undtagelsesvist ikke har været grundlag for at høre Datatilsynet, jf. ovenfor pkt. 3.5.1.

Forud for forelæggelsen for statsadvokaten skal politikredsen høre Datatilsynet, inden der træffes afgørelse om tiltalespørgsmålet, jf. ovenfor pkt. 3.5.2.1.

I tilfælde af uenighed mellem anklagemyndigheden og Datatilsynet følges retningslinjerne i Rigsadvokatmeddelelsens afsnit om Samarbejdet med særmyndigheder i særlovssager.

Anklagemyndigheden skal orientere Datatilsynet ved tiltalerejsning.

3.8.

Oversigt over sagsgangen i sager om overtrædelse af de databeskyttelsesretlige regler

3.9.

Særligt om sagsbehandling og forberedelse af sager om overtrædelse af tv-overvågningslovens § 4 c

Som følge af de nye regler i databeskyttelsesforordningen og databeskyttelsesloven blev tv-overvågningsloven ændret den 23. maj 2018.

Formålet med lovændringen var bl.a. at videreføre den tidligere gældende persondatalovs §§ 26 a og 26 d om behandling af personoplysninger i forbindelse med tv-overvågning.

For en nærmere gennemgang af de mest relevante regler i tv-overvågningsloven henvises til pkt. 4.4. nedenfor.

3.9.1.

Forelæggelse for Datatilsynet og statsadvokaterne

Datatilsynet fører tilsyn med enhver behandling af personoplysninger omfattet af tv-overvågningslovens §§ 4 c og 4 d, jf. lovens § 4 e.

Det fremgår af lovforslagets ( lovforslag nr. 205 af 21. marts 2018 om ændring af lov om tv-overvågning og lov om retshåndhævende myndigheders behandling af personoplysninger) specielle bemærkninger til § 4 e, at der med § 4 e er sket en videreførelse af den indtil da gældende retstilstand, hvorefter Datatilsynet førte tilsyn med behandling af personoplysninger omfattet af reglerne i persondatalovens §§ 26 a og 26 d. Med lovændringen skal Datatilsynet således fortsat føre tilsyn med overholdelsen af reglerne om behandling af personoplysninger i forbindelse med tv-overvågning i kriminalitetsforebyggende øjemed.

Efter bestemmelsen har Datatilsynet kompetence i relation til enhver behandling af personoplysninger, som omfattes af lovens § 4 c.

Sager om overtrædelse af tv-overvågningslovens § 4 c skal på den baggrund, på samme måde som sager om overtrædelse af databeskyttelsesreglerne, behandles efter retningslinjerne om forelæggelse for både Datatilsynet og statsadvokaten, der fremgår af pkt. 3.5.2.1. og pkt. 3.7. ovenfor .

Det indebærer bl.a.

Sager, hvor anklagermyndigheden ikke har fået medhold i tiltalen og/eller strafpåstanden, skal forelægges for statsadvokaten og for Datatilsynet, inden ankefristens udløb.

Se nærmere under pkt. 6.1. og 6.2.

Datatilsynet er ikke tilsynsmyndighed i forhold til de øvrige bestemmelser i tv-overvågningsloven.

3.9.2.

Særligt om tiltalerejsning

I sager om den dataansvarliges overtrædelse af tv-overvågningslovens § 4 c skal der ved tiltalerejsning som udgangspunkt alene henvises til tv-overvågningslovens regler og ikke tillige reglerne i databeskyttelsesforordningen eller databeskyttelsesloven.

Sagerne må ikke afgøres med bødeforelæg, før bødeniveauet er tilstrækkelig afklaret i retspraksis.

3.10.

Særligt om sagsbehandling og forberedelse af sager om overtrædelser med databeskyttelsesretlige elementer

Alle sager om overtrædelser med databeskyttelsesretlige elementer, dvs. overtrædelser, hvor gerningsindholdet også falder inden for forordningens og databeskyttelseslovens anvendelsesområde, hvori der vil blive nedlagt påstand om bødestraf , skal behandles i overensstemmelse med indeværende retningslinjer med henblik på at sikre, at bødeudmålingen i relevant omfang sker under iagttagelse af bødeniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven.

For en nærmere gennemgang af begrebet ”overtrædelser med databeskyttelsesretlige elementer” og baggrunden for de særlige retningslinjer, som trådte i kraft den 27. september 2021, henvises til pkt. 4.5. nedenfor.

3.10.1.

Afgrænsning af relevante overtrædelser, herunder i straffeloven og sundhedsloven

Straffeloven indeholder en række bestemmelser med databeskyttelsesretlige elementer, dvs. bestemmelser, hvor gerningsindholdet ofte også vil være omfattet af databeskyttelsesreglerne.

Som eksempel på sådanne bestemmelser kan nævnes straffelovens §§ 152-152f om tavshedspligt, § 155 om stillingsmisbrug (typisk i form af registermisbrug), § 232 om blufærdighedskrænkelse, § 263, stk. 1, nr. 3, om aflytning og lydoptagelser, ”hackerbestemmelsen” i § 263, stk. 1, § 264 a om uberettiget billedoptagelse af personer, § 264 d om uberettiget videregivelse af billeder mv. og § 264 e om identitetsmisbrug.

Derudover indeholder sundhedsloven en række bestemmelser med databeskyttelsesretlige elementer.

Som eksempel på sådanne bestemmelser i sundhedsloven kan nævnes reglerne om tavshedspligt i § 40, reglerne om videregivelse af helbredsoplysninger i § 41, § 43 og § 45 samt reglerne om indsamling af oplysninger, herunder ved registeropslag, i § 42 a, § 42 d og § 46.

Datatilsynet har i samarbejde med Rigsadvokaten udarbejdet et generelt notat , hvori der dels redegøres for, hvornår de databeskyttelsesretlige regler finder anvendelse, dels opremses eksempler på situationer, der både vil udgøre en overtrædelse af straffeloven mv. og af de databeskyttelsesretlige regler.

Notatet findes på Vidensbasen og er desuden beskrevet nærmere under pkt. 3.10.5.

Notatet skal – som beskrevet under pkt. 3.10.5.

– bilageres ind i alle sager om overtrædelser med databeskyttelsesretlige elementer, hvori der vil blive nedlagt påstand om bødestraf udmålt under iagttagelse af bødeniveauet for overtrædelse af databeskyttelsesforordningen og databeskyttelsesloven.

Det bemærkes, at ovennævnte eksempler på overtrædelser med databeskyttelsesretlige elementer – og gennemgangen i det generelle notat – ikke er udtømmende.

3.10.2.

Samspillet mellem overtrædelser med databeskyttelsesretlige elementer og de databeskyttelsesretlige regler - tiltalerejsning

Det er Rigsadvokatens opfattelse, at der i sager om handlinger (eller undladelser), der udgør en overtrædelse af både straffeloven og de databeskyttelsesretlige regler, som udgangspunkt alene skal rejses tiltale efter straffeloven, medmindre der er tvivl om bevisvurderingen og/eller forsætsgraden i forhold til straffelovsovertrædelsen.

Tilsvarende må antages at gælde for andre overtrædelser med databeskyttelsesretlige elementer (f.eks. i sundhedsloven).

Dette er i overensstemmelse med almindelige strafferetlige principper om absorption mv., ligesom det også kan siges at følge af databeskyttelseslovens § 1, stk. 3, hvorefter særregler om behandling af personoplysninger går forud for reglerne i databeskyttelsesloven.

Hvis der imidlertid er tvivl om, hvorvidt der kan ske domfældelse efter straffeloven eller speciallovgivning som f.eks. sundhedsloven (f.eks. fordi det er tvivlsomt, om gerningsindholdet er opfyldt, eller der for så vidt angår straffeloven alene foreligger uagtsomhed), bør der som udgangspunkt rejses en subsidiær tiltale for overtrædelse af de databeskyttelsesretlige regler, hvis det vurderes, at forholdet kan føre til et strafansvar efter disse regler.

Inden sager om overtrædelser med databeskyttelsesretlige elementer eventuelt henlægges eller påtaleopgives, skal det således altid overvejes, om der i stedet er grundlag for at gøre et strafansvar gældende efter de databeskyttelsesretlige regler (f.eks. pga.

lavere tilregnelseskrav).

Uanset hvilket regelsæt anklagemyndigheden rejser tiltale efter, skal anklageren være opmærksom på, at overtrædelser med databeskyttelsesretlige elementer vil blive grebet af den længere forældelsesfrist i databeskyttelsesloven, når et forhold indebærer overtrædelse af begge regelsæt.

Der henvises i den forbindelse til pkt. 5.1.3.

3.10.3.

Inddragelse af Datatilsynet

Inden der rejses (eventuelt subsidiær) tiltale for overtrædelse af de databeskyttelsesretlige regler, skal der altid indhentes en udtalelse fra Datatilsynet, hvori tilsynet bl.a. udtaler sig om sanktionsspørgsmålet.

Der henvises i den forbindelse til pkt. 3.5 . for en nærmere gennemgang af forelæggelsesordningen, herunder pkt. 3.5.2.1.1 . om indholdet af forelæggelsen.

Sager, der omhandler overtrædelser med databeskyttelsesretlige elementer, hvori der ikke også rejses (principal eller subsidiær) tiltale for overtrædelse af de databeskyttelsesretlige regler, skal derimod ikke forelægges for Datatilsynet.

Se dog nærmere om disse sagers behandling nedenfor under pkt. 3.10.4. vedrørende bl.a. inddragelse af statsadvokaterne og pkt. 3.10.5. om notatet om ” Overtrædelser af straffeloven og andre særregler med databeskyttelsesretlige elementer”, ”Bødevejledning - Udmåling af bøder til fysiske personer”” og ”Notat om Datatilsynets behandling af sager om såkaldt registermisbrug, mv.”.

Inden sager om overtrædelser med databeskyttelsesretlige elementer eventuelt henlægges eller påtaleopgives, skal det altid overvejes, om der i stedet er grundlag for at gøre et strafansvar gældende efter de databeskyttelsesretlige regler (f.eks. pga.

lavere tilregnelseskrav).

Sager om overtrædelser med databeskyttelsesretlige elementer kan kun henlægges eller påtaleopgives uden inddragelse af Datatilsynet, hvis sagen ikke kan eller skal rejses efter de databeskyttelsesretlige regler.

Hvis der er tvivl om, hvorvidt sagen vil kunne føre til en dom for overtrædelse af de databeskyttelsesretlige regler, skal sagen forelægges for Datatilsynet.

Se nærmere herom under pkt. 3.5. , herunder pkt. 3.5.1.1. om Datatilsynets foreløbige udtalelse om en overtrædelses strafværdighed.

3.10.4.

Inddragelse af statsadvokaten

I alle sager om overtrædelser med databeskyttelsesretlige elementer, hvori der vil blive nedlagt påstand om bødestraf, skal politikredsen forelægge tiltalespørgsmålet (herunder sanktionspåstanden) for statsadvokaten.

Se nærmere om overgangsordningen, herunder særligt i forhold til bødeniveauet under pkt. 3.10.6.

I alle sager om overtrædelser med databeskyttelsesretlige elementer, hvori anklagemyndigheden vurderer, at der bør nedlægges påstand om en bøde udmålt under iagttagelse af bødeniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven, skal statsadvokaterne i forbindelse med stillingtagen til tiltalespørgsmålet drøfte bødepåstanden med Datatilsynet.

Drøftelsen med Datatilsynet er som udgangspunkt ikke en egentlig forelæggelse og kan efter omstændighederne ske telefonisk.

Disse sager må ikke afgøres med bødeforelæg , før bødeniveauet er tilstrækkelig afklaret i retspraksis.

I sager, hvor gerningstidspunktet ligger forud for retningslinjernes ikrafttræden den 27. september 2021, og hvor anklagemyndigheden vurderer, at der bør nedlægges påstand om en bøde udmålt med udgangspunkt i bødeniveauet på tidspunktet for overtrædelsen, skal statsadvokaterne derimod ikke drøfte bødepåstanden med Datatilsynet.

Disse sager må endvidere gerne afgøres med bødeforelæg , hvis der i øvrigt er grundlag for det.

Hvis politikredsen påtænker at henlægge eller påtaleopgive en sag, skal det overvejes, om der i stedet er grundlag for at gøre et strafansvar gældende efter de databeskyttelsesretlige regler (f.eks. pga.

lavere tilregnelseskrav), jf. ovenfor pkt. 3.10.3.

Sager, hvor anklagemyndigheden har nedlagt påstand om bødestraf udmålt under iagttagelse af bødeniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven, men ikke har fået fuldt ud medhold i tiltalen og/eller sanktionspåstanden, skal forelægges for statsadvokaten, inden ankefristens udløb.

3.10.5.

Det generelle notat om ”Overtrædelser af straffeloven og andre særregler med databeskyttelsesretlige elementer”, ”Bødevejledning - Udmåling af bøder til fysiske personer” og ”Notat om Datatilsynets behandling af sager om såkaldt registermisbrug, mv.”

Der er udarbejdet to notater og en vejledning, der har særlig relevans for sager om overtrædelser med databeskyttelsesretlige elementer, hvori der vil blive nedlagt påstand om bødestraf ( pkt. 3.10.1. ).

Det drejer sig om det generelle notat ” Overtrædelser af straffeloven og andre særregler med databeskyttelsesretlige elementer ”, om ” Bødevejledning – Udmåling af bøder til fysiske personer ” og om ” Notat om Datatilsynets behandling af sager om såkaldt registermisbrug, mv.” .

Dokumenterne skal i relevant omfang bilageres ind på alle sager om overtrædelser med databeskyttelsesretlige elementer, hvori der vil blive nedlagt påstand om bødestraf udmålt under iagttagelse af bødeniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven , med henblik på at sikre, at der ved bødeudmålingen tages hensyn til bødeniveauet på det databeskyttelsesretlige område.

Det generelle notat indeholder bl.a. en gennemgang af databeskyttelsesforordningens materielle anvendelsesområde, en gennemgang af de mest centrale begreber og konkrete eksempler på handlinger (eller undladelser), der dels udgør overtrædelser af straffeloven mv., dels udgør overtrædelser af de databeskyttelsesretlige regler.

Notatet skal bilageres ind på alle sager om overtrædelser med databeskyttelsesretlige elementer, hvori der vil blive nedlagt påstand om bødestraf udmålt under iagttagelse af bødeniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven.

Det er hensigten, at det på baggrund af det generelle notat – og uden indhentelse af en udtalelse fra Datatilsynet i de konkrete sager – skal vurderes, om en given overtrædelse med databeskyttelsesretlige elementer ligeledes er omfattet af de databeskyttelsesretlige regler.

Når det er lagt fast, at en overtrædelse er omfattet af de databeskyttelsesretlige regler, er det endvidere hensigten, at anklagemyndigheden på baggrund af enten ”Notat om Datatilsynets behandling af sager om såkaldt registermisbrug, mv.” (for så vidt angår sager om registermisbrug) eller Datatilsynets ”Bødevejledning - Udmåling af bøder til fysiske personer” (for så vidt angår alle andre sager om overtrædelser med databeskyttelsesretlige elementer end sagerne om registermisbrug) skal kunne fastlægge et bødeniveau for overtrædelsen under iagttagelse af bødeniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven.

På denne måde skal det sikres, at der ikke udmåles en lavere bøde for overtrædelsen end bødeniveauet for tilsvarende overtrædelser af forordningen, ligesom bødeniveauet for overtrædelsen ikke må overskride grænserne for bødeniveauet i forordningens artikel 83.

Der henvises i den forbindelse til pkt. 3.10.4. om inddragelse af statsadvokaten.

3.10.6.

Overgangsordning i relation til sager om overtrædelser med databeskyttelsesretlige elementer

Ovenstående retningslinjer for håndtering af sager om overtrædelser med databeskyttelsesretlige elementer finder anvendelse på alle sager om overtrædelser med databeskyttelsesretlige elementer, hvori der vil blive nedlagt påstand om bødestraf , jf. dog nedenfor i relation til bødeniveau mv.

Det indebærer, at der i alle tilfælde skal ske en forelæggelse af sagen for statsadvokaten, som nærmere beskrevet under pkt. 3.10.4. , med henblik på bl.a. stillingtagen til bødepåstanden.

Det er i den forbindelse udgangspunktet, at bødepåstanden skal fastsættes under iagttagelse af bødeniveauet for overtrædelse af databeskyttelsesforordningen og databeskyttelsesloven.

Dette udgangspunkt gælder undtagelsesfrit for så vidt angår sager, hvor gerningstidspunktet ligger efter retningslinjernes ikrafttræden den 27. september 2021.

I sager, hvor gerningstidspunktet ligger forud for retningslinjernes ikrafttræden den 27. september 2021, kan der dog ved fastlæggelsen af bødeniveauet efter en konkret vurdering – og under sædvanlig inddragelse af skærpende og formildende omstændigheder – i stedet lægges vægt på bødeniveauet på tidspunktet for overtrædelsen, f.eks. hvis en række tilsvarende sager er afgjort på baggrund af dette bødeniveau.

Hvis der er tale om en sag, hvor bødeniveauet skal udmåles under iagttagelse af bødeniveauet for overtrædelse af databeskyttelsesforordningen og databeskyttelsesloven , indebærer retningslinjerne – ud over pligten til at forelægge sagen for statsadvokaten – bl.a. følgende

Hvis det derimod efter en konkret vurdering besluttes, at der skal nedlægges påstand om en bøde udmålt med udgangspunkt i bødeniveauet på tidspunktet for overtrædelsen gælder der – ud over pligten til at forelægge sagen for statsadvokaten – ikke yderligere særlige retningslinjer for sagsbehandlingen.

Det betyder

Uanset ovenstående bemærkes det desuden, at det af visse straffebestemmelser i særlovgivningen fremgår, at overtrædelse af givne bestemmelser straffes efter særlovens regler, medmindre højere straf er forskyldt efter anden lovgivning.

Ved sådanne formuleringer bør det overvejes, om højere straf er forskyldt efter de databeskyttelsesretlige regler med den konsekvens, at sagen bør rejses efter de databeskyttelsesretlige regler, uanset at gerningstidspunktet ligger forud for offentliggørelsen af indeværende opdaterede afsnit i rigsadvokatmeddelelsen.

3.10.7.

Oversigt over sagsgangen i sager om overtrædelser med databeskyttelsesretlige elementer

3.10.8.

Procedure

Rigsadvokaten har udarbejdet et notat til eventuel brug for anklagerens procedure om bødeudmålingen i sager om overtrædelser med databeskyttelsesretlige elementer, hvori anklageren vil nedlægge påstand om bødeudmåling under iagttagelse af bødeniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven.

Notatet ligger på den interne del af anklagemyndighedens Vidensbase .

3.10.9.

Undtagelser fra retningslinjerne for behandling af sager om overtrædelser med databeskyttelsesretlige elementer

Danmark er EU-retligt forpligtet til at sikre, at udmålingen af straf for overtrædelse af bestemmelser med databeskyttelsesretlige elementer – i det omfang forholdet falder inden for forordningens og databeskyttelseslovens anvendelsesområde – sker under iagttagelse af strafniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven.

Det betyder, at evt.

udmålte bøder ikke må være lavere, når de er udmålt efter straffeloven, end de ville have været, hvis de havde været udmålt efter databeskyttelsesreglerne.

Alle sager om overtrædelser med databeskyttelsesretlige elementer, hvori der vil blive nedlagt påstand om bødestraf, skal derfor behandles i overensstemmelse med de retningslinjer, der fremgår ovenfor af pkt. 3.10., jf. dog undtagelsen nedenfor om sager, hvor bødeniveauet er angivet i forarbejderne .

Hvis der er angivet et klart udgangspunkt for bødeniveauet i forarbejderne til loven, som det for eksempel er tilfældet i forarbejderne til bestemmelsen om identitetsmisbrug i straffelovens § 264 e, og forholdet vurderes at være omfattet af udgangspunktet (dvs. som altovervejende udgangspunkt førstegangstilfælde, hvor der foreligger en enkelt overtrædelse) kan sagen afgøres med bødeforelæg uden iagttagelse af ovenstående retningslinjer for behandling af sager om overtrædelser med databeskyttelsesretlige elementer.

Retningslinjerne for behandling af sager identitetstyveri efter straffelovens § 264 e er beskrevet nærmere i Rigsadvokatmeddelelsens afsnit om Freds- og ærekrænkelser (§§ 263-275 a) .

4.

Jura

4.1.

Generelt om databeskyttelse

4.1.1.

Oversigt over grundlæggende begreber i databeskyttelsesretten

4.1.1.1.

Personoplysning

En ”personoplysning” er enhver form for information om en identificeret eller identificerbar fysisk person eller en enkeltmandsejet virksomhed, jf. databeskyttelsesforordningens artikel 4, nr. 1.

Begrebet personoplysning omfatter bl.a. personnumre, registreringsnumre, billeder, lyd/stemme, fingeraftryk og genetiske kendetegn mv. En oplysning er ”personhenførbar”, når det i praksis er muligt at identificere en person ud fra oplysningen eller i kombination med andre oplysninger.

Også de tilfælde hvor det alene for den indviede vil være muligt at forstå, hvem en oplysning vedrører, er omfattet af definitionen, og det er uden betydning, om identifikationsoplysningerne er alment kendte eller umiddelbart tilgængelige.

Der gælder forskellige betingelser og procedurer for behandling af personoplysninger afhængig af oplysningernes karakter, se nærmere nedenfor under pkt. 4.1.2. om de forskellige typer af personoplysninger.

4.1.1.2.

Behandling

Databeskyttelsesreglerne finder anvendelse, når der sker en "behandling" af personoplysninger.

Begrebet ”behandling” omfatter enhver form for håndtering af oplysninger, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning, søgning, brug, videregivelse (herunder offentliggørelse), formidling og sletning, jf. definitionen i forordningens artikel 4, nr. 2.

Finder blot én af de i forordningens artikel 4, nr. 2, nævnte former for håndtering af personoplysninger sted, vil der være tale om en behandling, som er omfattet af databeskyttelsesreglerne.

4.1.1.3.

Den registrerede

”Den registrerede” er den person, oplysningerne vedrører.

Den registrerede har forskellige rettigheder i relation til behandlingen af oplysningerne, herunder ret til at få besked om, at der behandles oplysninger om vedkommende (oplysningspligt), ret til at få adgang til og information om oplysninger om vedkommende selv (indsigtsret) og ret til – i visse situationer – at få oplysninger rettet eller slettet.

Se Datatilsynets vejledning om de registreredes rettigheder for en nærmere beskrivelse.

Vejledningen findes på Datatilsynets hjemmeside.

4.1.1.4.

Den dataansvarlige og databehandleren

I databeskyttelsesretten sondres der mellem ”dataansvarlige” og ”databehandlere”.

Der gælder forskellige forpligtelser efter de databeskyttelsesretlige regler alt efter, om der er tale om en dataansvarlig eller en databehandler.

Afgrænsningen kan i visse tilfælde give anledning til tvivl.

Det er som udgangspunkt den ”dataansvarlige”, som har ansvaret for, at en behandling af personoplysninger lever op til de databeskyttelsesretlige regler.

En dataansvarlig er en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler, der må foretages behandling af personoplysninger, jf. definitionen i forordningens artikel 4, nr. 7.

En ”databehandler” er en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der behandler personoplysninger på den dataansvarliges vegne, jf. definitionen i forordningens artikel 4, nr. 8.

Både den dataansvarlige og eventuelle databehandlere kan ifalde strafansvar for overtrædelse af databeskyttelsesreglerne.

Se Datatilsynets og Justitsministeriets vejledning om dataansvarlige og databehandlere for nærmere vedrørende afgrænsningen mellem at være dataansvarlig og databehandler.

Vejledningen findes på Datatilsynets hjemmeside.

4.1.2.

Kategorier af personoplysninger

Der gælder forskellige betingelser og sikkerhedskrav mv. ved behandling af personoplysninger afhængigt af oplysningernes karakter.

Personoplysninger inddeles således i forskellige kategorier

Ad 1) Artikel 6 er en opsamlingsbestemmelse, og enhver personoplysning, der ikke er omfattet af den udtømmende opremsning af særlige kategorier af personoplysninger i artikel 9 eller af særlovgivning (f.eks. databeskyttelsesloven) er omfattet af artikel 6.

Ad 2) Særlige kategorier af personoplysninger, også kaldet følsomme personoplysninger , er udtømmende oplistet i forordningens artikel 9.

Følsomme personoplysninger er oplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering.

Ad 3) Databeskyttelseslovens § 8 indeholder regler om offentlige myndigheders og privates behandling af oplysninger om strafbare forhold .

Databeskyttelseslovens § 11 indeholder regler om offentlige myndigheders og privates behandling af oplysninger om personnummer .

Se i øvrigt Datatilsynets hjemmeside www.datatilsynet.dk for en nærmere beskrivelse af reglernes indhold.

4.1.3.

Oversigt over grundlæggende regler

De databeskyttelsesretlige regler indeholder bl.a.

4.2.

Databeskyttelsesforordningen og databeskyttelsesloven

Den 25. maj 2018 blev persondataloven afløst af databeskyttelsesforordningen , der suppleres af databeskyttelsesloven og anden national særregulering.

Databeskyttelsesforordningen har direkte virkning i Danmark, hvilket bl.a. betyder, at forordningen har samme virkning som en lov i Danmark.

For så vidt angår anvendelsesområdet, svarer dette i vidt omfang til persondatalovens anvendelsesområde.

Materielt gælder reglerne således bl.a. som udgangspunkt for al automatisk (dvs. elektronisk) behandling af personoplysninger, der foretages af offentlige myndigheder og private virksomheder, foreninger mv. Se nærmere om reglernes materielle og geografiske anvendelsesområde nedenfor under pkt. 4.2.1.

4.2.1.

Materielt og territorialt anvendelsesområde

Databeskyttelsesforordningen finder anvendelse på behandling af personoplysninger, jf. forordningens artikel 2, nr. 1, første led.

En personoplysning er enhver form for information om en identificeret eller identificerbar fysisk person eller en enkeltmandsejet virksomhed, jf. databeskyttelsesforordningens artikel 4, nr. 1.

Se nærmere om begrebet ”personoplysning” ovenfor under pkt. 4.1.1.1.

Det er desuden en forudsætning for reglernes anvendelse, at behandlingen af personoplysningerne foretages helt eller delvist ved hjælp af automatisk databehandling, eller at oplysningerne er eller vil blive indeholdt i et register, jf. forordningens artikel 2, stk. 1, andet led.

Begrebet ” automatisk databehandling ” er sammenfaldende med ”elektronisk databehandling”, som blev anvendt i det tidligere gældende databeskyttelsesdirektiv og persondataloven.

Se nærmere om begrebet ”behandling” ovenfor under pkt. 4.1.1.2.

Databeskyttelsesforordningens regler gælder ikke for en fysisk persons behandling af oplysninger under en rent personlig eller familiemæssig aktivitet og uden forbindelse med en erhvervsmæssig eller kommerciel aktivitet.

Personlige eller familiemæssige aktiviteter kan bl.a. omfatte sociale netværksaktiviteter og onlineaktiviteter, der udøves som led i sådanne aktiviteter.

Ved vurderingen af, om en privat persons offentliggørelse af personoplysninger på internettet kan anses for at være sket i rent private sammenhænge – og dermed falder uden for databeskyttelsesreglernes anvendelsesområde – skal der foretages en konkret helhedsvurdering af offentliggørelsen, herunder om aktiviteten kan anses for at være legitim, ligesom der også kan lægges vægt på, om der er tale om en aktivitet, der anses for sædvanlig i den konkrete sammenhæng.

I den forbindelse kan bl.a. inddrages karakteren af de offentliggjorte oplysninger, konteksten, hvori oplysningerne er offentliggjort og formålet med offentliggørelsen.

Det kan også indgå i vurderingen, om behandlingen er uden forbindelse med erhvervsmæssig eller kommerciel aktivitet.

Databeskyttelsesforordningen finder endvidere ikke anvendelse, hvis det vil være i strid med ytringsfriheden i artikel 10 i Den Europæiske Menneskerettighedskonvention, eller artikel 11 i Den Europæiske Unions Charter om Grundlæggende Rettigheder, jf. databeskyttelseslovens § 3.

Forordningen er umiddelbart gældende i hver EU-medlemsstat og finder anvendelse på behandling af personoplysninger, som foretages som led i aktiviteter, der udføres for en dataansvarlig eller en databehandler, som er etableret i EU.

Dette gælder, uanset om behandlingen finder sted i EU eller ej, jf. forordningens artikel 3, nr. 1.

Se nærmere om begreberne ”dataansvarlig” og ”databehandler” ovenfor pkt. 4.1.1.4.

Forordningen finder også anvendelse på behandling af personoplysninger om registrerede, der er i EU, og som foretages af en dataansvarlig eller databehandler, der ikke er etableret i EU.

Dette gælder dog kun, hvis behandlingsaktiviteterne vedrører udbud af varer eller tjenester til sådanne registrerede i EU, uanset om betaling fra den registrerede er påkrævet, eller hvis aktiviteten vedrører overvågning af sådanne registreredes adfærd, såfremt deres adfærd finder sted i EU, jf. forordningens artikel 3, nr. 2.

I langt de fleste tilfælde vil en behandling af personoplysninger, som foregår i Danmark, være omfattet af den danske lovgivning, dvs. forordningen, databeskyttelsesloven og eventuelle relevante danske særregler.

Men der kan være situationer, hvor den dataansvarlige er etableret i et andet EU-land.

I så fald vil det ud over forordningen være lovgivningen i dette land, der gælder.

Se forordningens artikel 2 og 3 samt databeskyttelseslovens §§ 1-4 for nærmere vedrørende reglernes anvendelsesområde.

Se endvidere nærmere om de grundlæggende begreber ovenfor under pkt. 4.1.1.

4.3.

Retshåndhævelsesloven

Parallelt med databeskyttelsesforordningen og databeskyttelsesloven gælder retshåndhævelsesloven , der trådte i kraft den 30. april 2017.

Retshåndhævelsesloven gælder for politiets, anklagemyndighedens, herunder den militære anklagemyndigheds, kriminalforsorgens, Den Uafhængige Politiklagemyndigheds og domstolenes behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og for anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, når behandlingen foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder for at beskytte mod eller forebygge trusler mod den offentlige sikkerhed , jf. retshåndhævelseslovens § 1.

Retshåndhævelsesloven finder først og fremmest anvendelse på den behandling af personoplysninger, som finder sted i forbindelse med de kompetente myndigheders aktiviteter inden for strafferetsplejen .

Loven omfatter i øvrigt det område, der tidligere var omfattet af begrebet "det strafferetlige område", jf. persondatalovens § 2, stk. 4.

Dette begreb blev i praksis defineret bredt og omfattede i hvert fald kerneområdet af domstolenes samt politiets og anklagemyndighedens virksomhed inden for strafferetsplejen, dvs. behandling af sager, som er under efterforskning, eller hvor der tages stilling til strafansvar og strafudmåling.

Ud over dette kerneområde er det i praksis fastlagt under persondataloven, at også politiets og anklagemyndighedens aktiviteter af mere generel karakter på det strafferetlige område kan være omfattet af begrebet.

Retshåndhævelsesloven finder også anvendelse for langt hovedparten af politiets øvrige virksomhed, herunder ordenshåndhævelse, kriminalitetsforebyggelse og på områder, hvor politiet kan forventes at gennemføre tvangsindgreb og foretage magtanvendelse.

Det bemærkes, at databeskyttelsesforordningens/databeskyttelseslovens og retshåndhævelseslovens anvendelsesområder er gensidigt udelukkende .

En behandling af personoplysninger kan således ikke være omfattet af både retshåndhævelsesloven og databeskyttelsesforordningen/databeskyttelsesloven.

4.4.

Tv-overvågningsloven

Som følge af de nye regler i databeskyttelsesforordningen og databeskyttelsesloven blev tv-overvågningsloven ændret den 23. maj 2018 .

Formålet med lovændringen var bl.a. at videreføre den tidligere gældende persondatalovs §§ 26 a og 26 d om behandling af personoplysninger i forbindelse med tv-overvågning.

4.4.1.

Den dataansvarliges videregivelse af optagelser foretaget i forbindelse med tv-overvågning i kriminalitetsforebyggende øjemed, jf. tv-overvågningslovens § 4 c

Ved ændringen af tv-overvågningsloven i 2018 blev § 4 c indsat i loven.

Af bestemmelsens stk. 1, fremgår det, at billed- og lydoptagelser med personoplysninger, der optages i forbindelse med tv-overvågning i kriminalitetsforebyggende øjemed, kun må videregives, hvis

Efter bestemmelsens stk. 2, må en erhvervsdrivende dog videregive billed- og lydoptagelser, der er optaget i forbindelse med tv-overvågning, internt i organisationen eller til andre erhvervsdrivende i kriminalitetsforebyggende øjemed, hvis betingelserne herfor er opfyldt, jf. bestemmelsens stk. 2, nr. 1 – 4.

Optagelserne som nævnt i stk. 1, skal som udgangspunkt slettes senest 30 dage efter, at optagelserne er foretaget, jf. bestemmelsens stk. 4, medmindre opbevaring i et længere tidsrum er nødvendigt af hensyn til den dataansvarliges behandling af en konkret tvist eller behandling af oplysningerne i kriminalitetsforebyggende øjemed efter stk. 2, jf. bestemmelsens stk. 5.

4.4.2.

Straf for uberettiget videregivelse af optagelser omfattet af tv-overvågningsloven § 4 c, jf. lovens § 5, stk. 2.

Ved ændringen af tv-overvågningslovens i 2018 blev § 5, stk.2, ligeledes indsat i loven.

Bestemmelsen foreskriver, at medmindre højere straf er forskyldt efter den øvrige lovgivning, straffes med bøde eller fængsel indtil 6 måneder den, der i forbindelse med en behandling som udføres for private, overtræder lovens § 4 c.

Med henblik på at afstemme tv-overvågningsloven med databeskyttelsesforordningen og databeskyttelsesloven blev det med lovændringen forudsat, at bødeniveauet skulle forhøjes væsentligt i forhold til det dagældende bødeniveau efter persondataloven, ligesom der blev indført en strafferamme på fængsel i indtil 6 måneder i stedet for de dagældende 4 måneder.

Det fremgår af lovforslagets ( lovforslag nr. 205 af 21. marts 2018 om ændring af lov om tv-overvågning og lov om retshåndhævende myndigheders behandling af personoplysninger ) specielle bemærkninger til § 5, stk. 2, at udmåling af straf efter bestemmelsen således skal ske forholdsmæssigt i forhold til strafniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven.

Politikredsen skal derfor være opmærksom på, at der er sket en skærpelse af strafniveauet i forhold til tidligere, hvor videregivelse af optagelser fra tv-overvågning optaget i kriminalitetsforebyggende øjemed var reguleret af persondataloven.

Der henvises nærmere til pkt. 5 om straf og andre retsfølger.

4.5.

Overtrædelser med databeskyttelsesretlige elementer

Begrebet ” overtrædelser med databeskyttelsesretligt elementer ” dækker – når det anvendes i Rigsadvokatmeddelelsen – alle overtrædelser af straffeloven og speciallovgivningen (herunder sundhedsloven) med databeskyttelsesretlige elementer, dvs. overtrædelser, hvor gerningsindholdet også falder inden for databeskyttelsesforordningens og databeskyttelseslovens anvendelsesområde .

Hvis gerningsindholdet omvendt falder uden for forordningens og databeskyttelseslovens anvendelsesområde – f.eks. fordi der ikke er tale om automatisk databehandling mv., jf. databeskyttelsesforordningens artikel 2, stk. 1, og databeskyttelseslovens § 1, stk. 2 – gælder retningslinjerne ikke, uanset at der måtte være tale om overtrædelse af en af de bestemmelser, der er opremset ovenfor under pkt. 3.10.1. og i det generelle notat ”Overtrædelser af straffeloven og andre særregler med databeskyttelsesretlige elementer”.

Se nærmere om databeskyttelsesforordningens og databeskyttelseslovens materielle og territoriale anvendelsesområde ovenfor under pkt. 4.2.1. , og om afgrænsningen af relevante straffebestemmelser og om det generelle notat ovenfor under pkt. 3.10.1.

4.5.1.

Danmarks EU-retlige forpligtigelser

Databeskyttelsesforordningens artikel 83 og 84 indeholder bestemmelser om pålæggelse af bøder og andre sanktioner for overtrædelse af forordningen.

Bestemmelserne suppleres af databeskyttelsesloven.

Det fremgår af bestemmelserne, at sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning .

Det fremgår af betænkning nr. 1565/2017 om databeskyttelsesforordningen, at man i medfør af artikel 84 nationalt kan indføre og opretholde bestemmelser i særlovgivningen, der straffes med andre sanktioner, herunder bøde- og fængselsstraf.

Sådanne sanktioner må dog antages at skulle fastsættes forholdsmæssigt i forhold til bødeniveauet i forordningens artikel 83 for herved at sikre en virkning svarende til forordningens.

Straffeloven og til dels også speciallovgivningen (f.eks. sundhedsloven) indeholder en række bestemmelser med databeskyttelsesretlige elementer, dvs. bestemmelser, hvor gerningsindholdet ofte også vil være omfattet af databeskyttelsesreglerne.

Sådanne overtrædelser med databeskyttelsesretlige elementer må anses for nationale særregler, der kan opretholdes i medfør af forordningens artikel 84.

Visse af straffelovsbestemmelserne med databeskyttelsesretlige elementer blev revideret i 2018 i forbindelse med en revision af straffelovens kapitel om freds- og ærekrænkelser ( Lov nr. 1719 af 27. december 2018 om ændring af straffeloven, retsplejeloven, lov om erstatningsansvar og medieansvarsloven (Freds- og ærekrænkelser m.v.)).

I den forbindelse blev det i forarbejderne til lovændringen ( Lovforslag nr. L 20 af 3. oktober 2018 til lov om ændring straffeloven, retsplejeloven, erstatningsansvarsloven og mediaansvarsloven (freds- og ærekrænkelser m.v.), de almindelige bemærkninger, punkt 3 om forholdet til databeskyttelsesforordningen og databeskyttelsesloven) anført, at udmåling af straf for overtrædelser af de specifikke bestemmelser i lovforslaget, der tilpasser anvendelsen af forordningen, i det omfang forholdet falder inden for forordningens og databeskyttelseslovens anvendelsesområde, skal ske under iagttagelse af strafniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven.

Det fremgår videre af bemærkningerne, at det efter Justitsministeriets vurdering eksempelvis indebærer, at bødeniveauet for overtrædelser af specifikke bestemmelser, der tilpasser anvendelsen af forordningen, ikke må være lavere end bødeniveauet for tilsvarende overtrædelser af forordningen, ligesom bødeniveauet ikke må overskride grænserne for bødeniveauet i forordningens artikel 83.

Da det imidlertid ikke er alle straffelovens bestemmelser med databeskyttelsesretlige elementer, der er omfattet af ovennævnte lovforslag og lovbemærkningerne om skærpelse af bøderne, vil der være nogle straffelovsbestemmelser med databeskyttelsesretlige elementer, hvor der ikke i lovforarbejderne er taget direkte stilling til strafudmålingen i relation til de databeskyttelsesretlige regler.

Tilsvarende gør sig gældende i forhold til eksempelvis sundhedslovens bestemmelser med databeskyttelsesretlige elementer, idet der ikke i lovforarbejderne til sundhedsloven er taget stilling til strafudmålingen i relation til de databeskyttelsesretlige regler.

Fælles for alle overtrædelser med databeskyttelsesretlige elementer (i såvel straffeloven som i speciallovgivningen) er dog, at Danmark er forpligtet efter EU-retten til at sikre, at udmålingen af straf for overtrædelse af de pågældende bestemmelser – i det omfang forholdet falder inden for forordningens og databeskyttelseslovens anvendelsesområde – skal ske under iagttagelse af strafniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven .

5.

Straf og andre retsfølger

5.1.

Generelt om sanktionsspørgsmålet i sager om overtrædelse af databeskyttelsesreglerne

Et af hovedformålene med databeskyttelsesforordningen er at styrke og harmonisere EU-landenes sanktionsmuligheder ved overtrædelse af databeskyttelsesreglerne.

Tidligere blev overtrædelser af persondataloven typisk straffet med bøder på mellem 2.000 og 25.000 kr. afhængigt af karakteren af de pågældende overtrædelser.

Forordningens artikel 83 indeholder de generelle betingelser for udstedelse af administrative bøder for overtrædelse af forordningens bestemmelser.

Det fremgår af artikel 83, stk. 1, at bøden i hver enkelt sag skal være effektiv, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.

I artikel 83, stk. 2, er derefter beskrevet en række momenter, som skal indgå, når der skal træffes afgørelse om sanktionsspørgsmålet for overtrædelser af forordningen, herunder om hvorvidt der skal pålægges en administrativ bøde og om den administrative bødes størrelse.

Det nærmere indhold af artikel 83, stk. 2, er beskrevet nedenfor i pkt. 5.1.2.

For så vidt angår strafniveauet for overtrædelser af flere bestemmelser i forordningen fremgår det af forordningens artikel 83, stk. 3, at hvis en dataansvarlig eller en databehandler forsætligt eller uagtsomt i forbindelse med de samme eller forbundne behandlingsaktiviteter overtræder flere bestemmelser i forordningen, må bødens samlede størrelse ikke overstige beløbet for den alvorligste overtrædelse.

Forordningens artikel 83, stk. 4 og 5, indeholder derefter en inddeling af de mulige overtrædelser af forordningen i to kategorier baseret på overtrædelsernes karakter samt fastsætter et bødemaksimum for hver af de to kategorier.

Det fremgår således af forordningens artikel 83, stk. 4, at overtrædelse af en række nærmere angivne bestemmelser straffes med bøder på op til 10.000.000 euro, eller hvis det drejer sig om en virksomhed, med op til 2 % af dens samlede globale årlige omsætning i det foregående regnskabsår, hvis det beløb er højere.

Endvidere fremgår det af forordningens artikel 83, stk. 5 og 6, at overtrædelse af de øvrige bestemmelser samt manglende overholdelse af et påbud fra Datatilsynet straffes med bøder på op til 20.000.000 euro, eller hvis det drejer sig om en virksomhed, med op til 4 % af dens samlede globale årlige omsætning i det foregående regnskabsår, hvis det beløb er højere.

Se nærmere om strafudmåling i relation til hhv.

juridiske personer under pkt. 5.2. , fysiske personer under pkt. 5.3. og offentlige myndigheder under pkt. 5.4.

Det fremgår af databeskyttelseslovens § 41, stk. 1-2, at straffen for overtrædelse af de databeskyttelsesretlige regler er bøde eller fængsel indtil 6 måneder.

Det fremgår desuden af databeskyttelseslovens § 41, stk. 3, at databeskyttelsesforordningens artikel 83, stk. 2, skal følges ved pålæggelse af straf efter lovens § 41, stk. 1 og 2.

Straffelovens kapitel 10 om straffens fastsættelse finder i øvrigt anvendelse.

Reglerne i databeskyttelsesforordningen og databeskyttelsesloven lægger således op til en markant forøgelse af bødeniveauet i forhold til, hvad overtrædelser af persondataloven blev takseret til.

Tidligere retspraksis kan derfor kun i meget begrænset omfang tillægges betydning ved afgørelse af sanktionsspørgsmålet efter de nuværende regler, mens såvel doms- som administrativ praksis fra andre EU-lande fremadrettet vil få øget betydning.

Det fremgår af forarbejderne til databeskyttelsesloven ( Lovforslag nr. L 68 af 25. oktober 2017, de almindelige bemærkninger, pkt. 2.8.3.7 ), at der vil være grundlag for, at straffen stiger til fængsel i tilfælde, hvor der for eksempel er sket en forsætlig offentliggørelse af særligt beskyttelsesværdige oplysninger, såsom følsomme oplysninger, i et meget betydeligt omfang.

Der er ikke i forordningen eller i bemærkningerne til databeskyttelsesloven anført et nærmere bødeniveau for overtrædelse af databeskyttelsesreglerne.

Når der i retspraksis på forskellige områder er fastlagt et bødeniveau, vil Datatilsynet begynde at kunne udstede administrative bødeforelæg i ukomplicerede sager uden bevismæssige tvivlsspørgsmål, jf. databeskyttelseslovens § 42.

5.1.1.

Hensynene bag reglerne

Hensynene bag databeskyttelsesreglerne og den markante skærpelse af bødeniveauet er blandt andet følgende

5.1.2.

Momenter af betydning for sanktionsspørgsmålet (forordningens artikel 83, stk. 2)

I forordningens artikel 83, stk. 2, er beskrevet en lang række momenter, som skal indgå, når der skal træffes afgørelse om, hvorvidt der skal pålægges en bøde for overtrædelse af forordningen mv. og om bødens størrelse.

Det fremgår af databeskyttelseslovens § 41, stk. 3, at databeskyttelsesforordningens artikel 83, stk. 2, skal følges ved pålæggelse af straf efter lovens § 41, stk. 1 og 2.

De momenter, der efter artikel 83, stk. 2, bl.a. skal lægges vægt på ved afgørelsen af, om der skal pålægges og udmåles en sanktion, og om bødens størrelse, er

Opremsningen er ikke udtømmende og suppleres af de almindelige bestemmelser i straffelovens §§ 80-82.

Hvad der nærmere forstås ved de enkelte kriterier er endvidere uddybet i Artikel 29-gruppens retningslinjer af 3. oktober 2017 vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med forordning (EU) 16/679.

Retningslinjerne er udstedt af Artikel 29-gruppen – forløberen til det Europæiske Databeskyttelsesråd – under henvisning til forordningens artikel 70, stk. 1, litra k.

Retningslinjerne findes på datatilsynets hjemmeside under vejledninger og skabeloner .

De enkelte kriterier i artikel 83 og deres betydning for bødefastsættelse er desuden beskrevet i Datatilsynets bødevejledning vedrørende udmåling af bøder til virksomheder , der ligeledes ligger på tilsynets hjemmeside.

Se nærmere om bødeberegning nedenfor under pkt. 5.2.2.

(om juridiske personer).

5.1.3.

Forældelse

Det følger af straffelovens § 93, at forældelsesfristen er 2 år, når der ikke er hjemlet højere straf end 1 års fængsel for en overtrædelse, og 5 år, når der ikke er hjemlet højere straf end 4 års fængsel.

De generelle forældelsesfrister i straffelovens § 93 er fraveget ved overtrædelse af databeskyttelsesloven.

Det følger således af databeskyttelseslovens § 41, stk. 7, at forældelsesfristen for overtrædelse af databeskyttelsesforordningen og -loven er 5 år.

Baggrunden herfor er ifølge forarbejderne, at sagerne forventes at kunne antage en vis størrelse og kompleksitet, der kan gøre det vanskeligt at anlægge sag inden for de almindelige forældelsesfrister.

Forarbejderne peger endvidere på, at behovet for at inddrage tilsynsmyndighederne også kan forlænge sagsbehandlingstiden.

Det følger af straffelovens § 93, stk. 4, at når samme handling indebærer flere lovovertrædelser med forskellige forældelsesfrister efter § 93, gælder den længste af forældelsesfristerne for samtlige overtrædelser.

Efter ordlyden af § 93, stk. 4, gælder princippet om den længste forældelsesfrist kun mellem forældelsesfrister, der er fastsat efter § 93, stk. 1-3, hvilket forældelsesfristen for overtrædelse af databeskyttelsesloven ikke er.

Det er dog den almindelige antagelse, at § 93, stk. 4, også ”griber” forældelsesfrister, der er fastsat i henhold til særlovsbestemmelser.

Det følger i et vist omfang også af straffelovens § 2, hvorefter bl.a. § 93 gælder for alle strafbare forhold, dvs. også for særlovsovertrædelser.

Konsekvensen heraf er, at straffelovsbestemmelser med databeskyttelsesretlige elementer vil blive ”grebet” af den længere forældelsesfrist i databeskyttelsesloven, når et forhold indebærer overtrædelse af begge regelsæt.

Se nærmere om behandlingen af sager om straffelovsbestemmelser med databeskyttelsesretlige elementer under pkt. 3.10.

5.2.

Strafudmåling i sager mod juridiske personer

5.2.1.

Ansvarssubjekter

Ved overtrædelser, der er begået inden for en virksomhed, skal retningslinjerne for valg af ansvarssubjekt som beskrevet i afsnittet i Rigsadvokatmeddelelsen om Strafansvar for juridiske personer som udgangspunkt følges.

Det bemærkes dog, at det i sager om overtrædelse af de databeskyttelsesretlige regler og i sager om overtrædelser med databeskyttelsesretlige elementer altid er den dataansvarlige eller databehandleren, der er ansvarssubjekt.

Det er som udgangspunkt arbejdsgiveren, f.eks. en virksomhed, der er ansvarlig for de behandlinger, der finder sted i forbindelse med virksomhedens aktiviteter.

Det omfatter normalt situationer, hvor medarbejdere handler inden for instruks.

Den pågældende arbejdsgiver kan imidlertid også være ansvarlig, hvor medarbejdere handler uden for instruks, men klart i arbejdsgiverens interesse.

Dataansvaret skal som udgangspunkt placeres hos enten arbejdsgiveren, dvs. virksomheden, eller hos medarbejderen, dvs. den fysiske person.

Se nærmere om definitionen på ”dataansvar” og ”databehandler” oven for pkt. 4.1.1.4. og om, hvornår den ansatte bliver selvstændig dataansvarlig i pkt. 2 i Datatilsynets ” Bødevejledning - Udmåling af bøder til fysiske personer ”.

5.2.2.

Bødeberegning i sager om juridiske personers overtrædelse af de databeskyttelsesretlige regler

Som det fremgår af pkt. 3.4.1. og pkt. 3.5.2.1. skal Datatilsynet høres i alle sager om overtrædelse af de databeskyttelsesretlige regler, inden der træffes afgørelse om tiltalespørgsmålet.

Datatilsynets udtalelse eller politianmeldelse vil indeholde tilsynets vurdering af tiltalespørgsmålet, herunder en indstilling om sanktionsspørgsmålet.

Datatilsynet har udarbejdet og offentliggjort en vejledning om fastsættelse af bøder i forbindelse med juridiske personers overtrædelser af databeskyttelsesreglerne.

Tilsynet vedlægger ”Bødevejledning – udmåling af bøder til virksomheder” og eventuelt relevant praksis som bilag til deres udtalelse eller politianmeldelse i alle sager mod juridiske personer.

Bødevejledningen skal bilageres ind på sagen sammen med tilsynets udtalelse og eventuelt relevant praksis fremsendt af tilsynet.

Bødevejledningen ligger desuden offentligt tilgængeligt på Datatilsynets hjemmeside under punktet ” vejledning ”

Det fremgår af vejledningen, at Datatilsynet ved beregningen af den indstillede bødes størrelse tager udgangspunkt i et grundbeløb , der beregnes på baggrund af dels overtrædelsens karakter (de forskellige overtrædelser inddeles i forskellige kategorier afhængigt af deres generelle alvor), dels den dataansvarlige juridiske persons størrelse (fastsat ud fra virksomhedens samlede globale årlige omsætning).

Efter at have fastlagt grundbeløbet justeres bøden efter overtrædelsens karakter, alvor og varighed i det konkrete tilfælde.

Derefter kan der ske en stigning af beløbet ved skærpende omstændigheder og/eller et fald ved formildende omstændigheder.

Bøden må ikke overstige maksimummet fastsat i databeskyttelsesforordningens artikel 83, stk. 4-6.

Hvis det er tilfældet, skal bødes justeres.

Endelig er der mulighed for – på opfordring fra virksomheden – under særlige omstændigheder at tage hensyn til virksomhedens betalingsevne.

Se nærmere herom under pkt. 5.2.3.

Sammenfattende kan Datatilsynets model for beregning af bøder i forbindelse med juridiske personers overtrædelse af de databeskyttelsesretlige regler sættes op på følgende måde

Datatilsynets bødevejledning skal være normerende for både Datatilsynets indstilling til bødepåstanden og for anklagemyndighedens påstand i retten.

Det er i den forbindelse vigtigt at være opmærksom på, at strafudmålingsprincipperne i straffelovens kapitel 10 også finder anvendelse på sager om overtrædelse af de databeskyttelsesretlige regler.

5.2.3.

Regulering ift.

betalingsevne

Datatilsynet gennemgår i pkt. 7 i tilsynets bødevejledning under hvilke omstændigheder, der kan ske regulering af bødens størrelse i forhold til virksomhedens betalingsevne.

Det fremgår af vejledningen, at en nedsættelse af bøden på grund af manglende betalingsevne kun skal overvejes, hvis den bødepålagte anmoder om det.

Inden nedsættelse af bøden overvejes, kan mere moderate betalingsbetingelser, som f.eks. udsættelse af betalingen, overvejes.

Det fremgår desuden af vejledningen, at en nedsættelse af bøden på grund af manglende betalingsevne kræver ekstraordinære omstændigheder.

Nedsættelse kan ifølge vejledningen kun ske, hvis der foreligger objektive beviser for, at den pålagte bøde med sikkerhed vil bringe den pågældende virksomheds økonomiske levedygtighed i fare og få dens aktiver til at miste al værdi.

Endelig fremgår det af bødevejledningen, at argumenter om manglende betalingsevne fra dataansvarlige, der er en del af store virksomheder, hvor datterselskaber kan søge økonomisk støtte hos deres moderselskab, ikke kan tages i betragtning.

5.2.4.

Rettighedsfrakendelse

I sager vedrørende den type virksomhed, der er omfattet af databeskyttelseslovens § 26, det vil sige advarselsregistervirksomhed, kreditoplysningsbureauvirksomhed og virksomhed ved behandling af oplysninger, der udelukkende finder sted med henblik på at føre retsinformationssystemer, skal anklagemyndigheden overveje, om der skal nedlægges påstand om rettighedsfrakendelse, jf. databeskyttelseslovens § 43.

Det fremgår af databeskyttelseslovens § 43, at den, der driver eller er beskæftiget med virksomhed som nævnt i lovens § 26 eller som privat databehandler opbevarer personoplysninger, ved dom for strafbart forhold kan frakendes retten til at drive den pågældende type virksomhed, hvis det udviste forhold begrunder en nærliggende fare for misbrug.

Straffelovens bestemmelser i § 79, stk. 3 og 4, om tidsmæssig begrænsning af frakendelsen af retten og om umiddelbar udelukkelse af denne under sagens behandling mv. finder også anvendelse.

5.3.

Strafudmåling i sager mod fysiske personer

5.3.1.

Bødeberegning i sager om fysiske personers overtrædelse af de databeskyttelsesretlige regler

Som det fremgår af pkt. 3.4.1. og pkt. 3.5.2.1. skal Datatilsynet høres i alle sager om overtrædelse af de databeskyttelsesretlige regler, inden der træffes afgørelse om tiltalespørgsmålet.

Datatilsynets udtalelse eller politianmeldelse vil indeholde tilsynets vurdering af tiltalespørgsmålet, herunder en indstilling om sanktionsspørgsmålet.

Datatilsynet har udarbejdet og offentliggjort en vejledning om fastsættelse af bøder i forbindelse med fysiske personers overtrædelser af databeskyttelsesreglerne.

Tilsynet vedlægger ”Bødevejledning – Udmåling af bøder til fysiske personer” og eventuelt relevant praksis som bilag til deres udtalelse eller politianmeldelse i alle sager mod fysiske personer.

Bødevejledningen skal bilageres ind på sagen sammen med tilsynets udtalelse og eventuelt relevant praksis fremsendt af tilsynet.

Bødevejledningen ligger desuden offentligt tilgængeligt på Datatilsynets hjemmeside under punktet ” vejledning ”.

Det fremgår af bødevejledningen, at formålet med vejledningen bl.a. er at danne et klart og gennemskueligt grundlag for tilsynets bødeindstillinger for at sikre, at der gennem retspraksis skabes systematik i bødefastsættelsen.

Da databeskyttelsesforordningen og –loven lægger op til et væsentligt forhøjet bødeniveau i forhold til, hvad overtrædelser af persondataloven blev takseret til, vil bødeniveauet ses væsentligt forhøjet i forhold til tidligere praksis.

Datatilsynet gennemgår i vejledningen bl.a. hvilke momenter, der efter artikel 83 skal tages hensyn til ved udmålingen, herunder hvilke skærpende og formildende omstændigheder Datatilsynet har tillagt vægt i tilsynets tidligere indstillinger.

Det fremgår endvidere af vejledningen, at der på visse områder er tale om relativt sammenlignelige overtrædelser, hvorfor der kan udmåles standardbøder (f.eks. i sager om offentliggørelse af oplysninger på sociale medier).

Det er hensigten med bødevejledningen, at den skal være normerende for både Datatilsynets indstilling til bødepåstand og for anklagemyndighedens påstand i retten.

Det er i den forbindelse vigtigt at være opmærksom på, at strafudmålingsprincipperne i straffelovens kapitel 10 også finder anvendelse på sager om overtrædelse af de databeskyttelsesretlige regler.

5.3.2.

Bødeudmåling

Når bøder for overtrædelse af straffeloven idømmes eller vedtages i retten, fastsættes bødestraffen i dagbøder .

Det følger af straffelovens § 51, stk. 1.

I sager om straffelovsovertrædelser med databeskyttelsesretlige elementer skal der således udmåles dagbøder (eller frihedsstraf).

Bødefastsættelse i form af dagbøder sker dels ved at regulere antallet af dagbøder, dels ved at regulere størrelsen af den enkelte dagbod.

Der udmåles mindst 1 og højest 60 dagbøder.

Se nærmere om overtrædelser med databeskyttelsesretlige elementer under pkt. 3.10.

Bøder idømt efter speciallovgivning (herunder de databeskyttelsesretlige regler) idømmes derimod som sumbøder , dvs. som ét fast beløb.

Datatilsynet angiver derfor en samlet bødepåstand (eventuelt én indstilling per forhold, hvis en sag indeholder flere overtrædelser af de databeskyttelsesretlige regler) i tilsynets indstillinger/politianmeldelser.

I et sagskompleks hvor en af lovovertrædelserne medfører en dagbod, mens en anden overtrædelse medfører en sumbøde, fastsætter retten som udgangspunkt en fælles straf af dagbod .

Det følger af straffeloven § 88, stk. 3.

I sådanne sager skal anklagemyndigheden således omregne den indstillede sumbøde til dagbøder og i den forbindelse være opmærksom på de regler for bødens fastsættelse, der fremgår af straffelovens § 51, stk. 1.

5.3.3.

Regulering ift.

betalingsevne

Ved bødeudmålingen i relation til fysiske personer er der ikke – på samme måde som i relation til bødeudmåling til juridiske personer – fastsat et bødemaksimum.

Det fremgår dog af præambelbetragtning 150, at der i relation hertil skal tages hensyn til det generelle indkomstniveau i det pågældende EU-land samt personens økonomiske situation.

Bøderne nedsættes derfor for unge under 18 år og for personer med særlig lav indtægt i overensstemmelse med ordningen på færdselslovens område.

Det er alderen og indtægtsforholdene på gerningstidspunktet, der er afgørende for spørgsmålet om bødenedsættelse.

Nærmere retningslinjer, herunder indtægtsgrænser for bødenedsættelse, kan findes i Rigsadvokatmeddelelsen afsnittet om Strafudmåling (§§ 80-84) , pkt. 5, om straf og andre retsfølger.

5.3.4.

Fængselsstraf

Der er efter databeskyttelseslovens § 41, stk. 1 og 2, mulighed for at idømme fængselsstraf for overtrædelse af de strafbelagte bestemmelser i forordningen, loven og regler fastsat i medfør heraf.

Det fremgår af forarbejderne til databeskyttelsesloven (Lovforslag nr. L 68 af 25. oktober 2017, de almindelige bemærkninger, pkt. 2.8.3.7 ), at der vil være grundlag for, at straffen stiger til fængsel i tilfælde, hvor der for eksempel er sket en forsætlig offentliggørelse af særligt beskyttelsesværdige oplysninger, såsom følsomme oplysninger, i et meget betydeligt omfang.

5.3.4.1.

Udmåling af tillægsbøder

Det fremgår af databeskyttelsesforordningens artikel 83, stk. 3, at hvis en dataansvarlig eller en databehandler forsætligt eller uagtsomt i forbindelse med de samme eller forbundne behandlingsaktiviteter overtræder flere bestemmelser i databeskyttelsesforordningen, må den administrative bødes samlede størrelse ikke overstige beløbet for den alvorligste overtrædelse.

Derudover er der ikke i de databeskyttelsesretlige regler – som på visse andre særlovsområder – fastsat særlige regler om straf i sammenstød, herunder om straffastsættelse i tilfælde af sammenstød.

Det indebærer, at straffelovens almindelige regler herom finder anvendelse.

Det fremgår således af straffelovens § 88, stk. 1, at der skal fastsættes en fælles straf i sager, hvor nogen ved en eller flere handlinger har begået flere lovovertrædelser.

Det fremgår af stk. 2, at i sager indeholdende flere forhold, hvor en overtrædelse medfører fængsel, mens en anden overtrædelse medfører bøde, kan retten – i stedet for en fælles fængselsstraf – idømme bøde ved siden af fængsel.

Det er Rigsadvokatens opfattelse, at anklagemyndigheden som udgangspunkt ikke skal nedlægge påstand om, at der udmåles tillægsbøder for databeskyttelsesretlige overtrædelser i sager, hvor der samtidig idømmes frihedsstraf.

Det er dog Rigsadvokatens opfattelse, at anklagemyndigheden bl.a. skal overveje at nedlægge påstand om udmåling af tillægsbøder, hvis den tiltalte ved lovovertrædelsen har opnået eller tilsigtet at opnå økonomisk vinding for sig selv eller andre.

5.4.

Sanktionsspørgsmålet i forhold til offentlige myndigheder

5.4.1.

Strafforfølgning mod offentlige myndigheder

Der er efter databeskyttelsesloven en udvidet adgang til at strafforfølge offentlige myndigheder mv. i forhold til de almindelige principper i straffelovens § 27, stk. 2, hvorefter statslige myndigheder og kommuner alene kan straffes i anledning af overtrædelser, der begås ved udøvelse af virksomhed, der svarer til eller kan sidestilles med virksomhed udøvet af private.

Efter databeskyttelseslovens § 41, stk. 6, 2. pkt., kan offentlige myndigheder og institutioner mv., som er omfattet af forvaltningslovens § 1, stk. 1 eller 2, uanset straffelovens § 27, stk. 2, også straffes i anledning af overtrædelser af loven, der begås ved udøvelse af virksomhed, der ikke svarer til eller kan sidestilles med virksomhed udøvet af private.

Domstolene (og evt.

andre offentlige myndigheder, som ikke er omfattet af forvaltningslovens § 1, stk. 1 eller 2,) kan alene straffes i overensstemmelse med straffelovens § 27, stk. 2.

I straffesager mod en offentlig myndighed mv. skal de almindelige principper for valg af ansvarssubjekt for overtrædelser begået inden for rammerne af en virksomhed som udgangspunkt følges, jf. afsnittet i Rigsadvokatmeddelelsen om Strafansvar for juridiske personer , pkt. 3.1.3.

Det bemærkes dog, at det i sager om overtrædelse af de databeskyttelsesretlige regler og i sager om overtrædelser med databeskyttelsesretlige elementer altid er den dataansvarlige eller databehandleren, der er ansvarssubjekt.

Det er som udgangspunkt arbejdsgiveren, f.eks. en offentlig myndighed, der er ansvarlig for de behandlinger, der finder sted i forbindelse med myndighedens aktiviteter.

Det omfatter normalt situationer, hvor medarbejdere handler inden for instruks.

Den pågældende arbejdsgiver kan imidlertid også være ansvarlig, hvor medarbejdere handler uden for instruks, men klart i arbejdsgiverens interesse.

Dataansvaret skal som udgangspunkt placeres hos enten arbejdsgiveren, dvs. myndigheden, eller hos medarbejderen, dvs. den fysiske person

Se nærmere om definitionen på ”dataansvar” og ”databehandler” ovenfor under pkt. 4.1.1.4. og om, hvornår den ansatte bliver selvstændig dataansvarlig i pkt. 2 i Datatilsynets Bødevejledning - Udmåling i sager mod fysiske personer

5.4.2.

Generelt om sanktionsspørgsmålet i forhold til offentlige myndigheder

Det er forudsat i forarbejderne til databeskyttelsesloven, at bødeniveauet for offentlige myndigheders overtrædelser af databeskyttelsesloven skal være lavere end for private aktørers overtrædelser.

Bødeloftet for offentlige myndigheder for overtrædelser omfattet af forordningens artikel 83, stk. 4, forudsættes at være 2 % af myndighedens driftsbevilling, dog maksimalt 8 mio. kr., henholdsvis 4 % af driftsbevillingen, maksimalt 16 mio. kr. for overtrædelser omfattet af forordningens artikel 83, stk. 5 og 6.

Med driftsbevillingen menes som udgangspunkt det samlede beløb, som den offentlige myndighed kan disponere over.

Samtidig med, at bødeloftet er lavere for offentlige myndigheder end for private, er det også forudsat, at forhøjelsen af bødeniveauet for offentlige myndigheder skal være lavere.

Det fremgår af forarbejderne til databeskyttelsesloven ( Lovforslag nr. L 68 af 25. oktober 2017 , de alm. bemærkninger, pkt. 2.8.3.8).

Der skal ved udstedelse af bøder til offentlige myndigheder også tages hensyn til myndigheders særlige situation, der består i, at myndigheder – i modsætning til private aktører – efter lovgivningen er pålagt at varetage lovbestemte opgaver, og myndigheder derfor ikke uden videre i alle tilfælde blot kan standse en behandling for derved at bringe en eventuel ulovlig tilstand til ophør.

Det fremgår af forarbejderne til databeskyttelsesloven ( Lovforslag nr. L 68 af 25. oktober 2017, de almindelige bemærkninger , pkt. 2.8.3.8), at det særlige, lavere bødeloft, der forudsætningsvist lægges op til for offentlige myndigheders overtrædelser af forordningen og loven, ikke gælder for private databehandlere, der for eksempel opbevarer oplysninger for det offentlige.

I øvrigt skal de generelle retningslinjer for fastsættelse af sanktionen i forhold til skærpende og formildende omstændigheder følges, jf. pkt. 5.1.2.

Datatilsynet forventes at udarbejde en bødevejledning vedrørende udmåling af bøder til offentlige myndigheder.

Bødevejledningen vil blive offentliggjort på Datatilsynets hjemmeside under ”vejledninger”.

6.

Efter dom

6.1.

Underretning af Datatilsynet

Snarest muligt efter afslutningen af en sag, hvor der er rejst tiltale for overtrædelse af databeskyttelsesreglerne , skal Datatilsynet underrettes om sagens udfald og have tilsendt en kopi af dommen.

Underretningen skal ske hurtigst muligt og i så god tid, at Datatilsynet har mulighed for at udtale sig i forhold til spørgsmålet om anke inden udløbet af ankefristen.

Tilsvarende gælder i forhold til sager vedrørende overtrædelse af tv-overvågningslovens § 4 c .

6.2.

Underretning af statsadvokaten

Politikredsen skal forelægge alle domme om overtrædelse af de databeskyttelsesretlige regler , hvor anklagemyndigheden ikke har fået fuldt medhold (herunder i strafpåstanden), for statsadvokaten, inden ankefristens udløb.

Det samme gælder i forhold til sager vedrørende overtrædelse af tv-overvågningslovens § 4 c .

Derudover skal sager om overtrædelser med databeskyttelsesretlige elementer , hvori anklagemyndigheden har nedlagt påstand om bødestraf udmålt under iagttagelse af bødeniveauet for overtrædelse af databeskyttelsesforordningen og databeskyttelsesloven og ikke har fået fuldt ud medhold (herunder i strafpåstanden), også forelægges for statsadvokaten, inden ankefristens udløb, jf. pkt. 3.10.4.

6.3.

Afgørelser til Vidensbasen

Alle endelige domme om overtrædelse af de databeskyttelsesretlige regler skal sendes til Vidensbasen.

Tilsvarende gælder i forhold til sager vedr.

overtrædelse af tv-overvågningslovens § 4 c .

Derudover skal alle endelige domme om overtrædelser med databeskyttelsesretlige elementer (jf. pkt. 3.10. ovenfor), hvori der er nedlagt påstand om en bøde under iagttagelse af strafniveauet for overtrædelser af databeskyttelsesforordningen og databeskyttelsesloven, indsendes til Vidensbasen.

7.

Love og forarbejder

Databeskyttelsesforordningen

Love

Databeskyttelsesloven

Retshåndhævelsesloven

Tv-overvågningsloven

Relevante forarbejder

Videnspakker mv.

Bilag

Bilag 1 - Overtrædelser af straffeloven og andre særregler med databeskyttelsesretlige elementer (Datatilsynet, 14. september 2021)

Bilag 2 - Notat om Datatilsynets behandling af sager om såkaldt registermisbrug, mv. (Datatilsynet, 7. juli 2022)

-

I relevant omfang at foretage en indledende bevissikring, se nærmere under pkt. 3.4 og 3.5.

-

Hvor sagen er af kompleks eller hastende karakter, kan der være behov for specifik og/eller hurtig bevissikring, som tilsiger et nærmere samarbejde mellem Datatilsynet og politiet.

Se nærmere under pkt. 3.4.3 .

-

Muligheden for at indhente en foreløbig udtalelse om overtrædelsens strafværdighed fra Datatilsynet, hvis politikredsen efter modtagelsen af en anmeldelse direkte fra en borger eller virksomhed mv. vurderer, at det er uklart, om der foreligger en overtrædelse, der bør undergives strafforfølgning.

Se nærmere under pkt. 3.5.1.1.

-

At Datatilsynet generelt skal høres i alle sager om overtrædelse af databeskyttelsesreglerne , inden der træffes afgørelse om tiltalespørgsmålet.

Se nærmere under pkt. 3.5.2.1.

Datatilsynet skal endvidere inddrages ved spørgsmålet om eventuel anke og skal orienteres om og have kopi af alle endelige afgørelser.

Se nærmere under pkt. 6.1.

-

At der gælder særlige retningslinjer for behandlingen af sager om overtrædelse af databeskyttelsesreglerne der bl.a. medfører, at

-

politikredsen skal forelægge tiltalespørgsmålet (herunder strafpåstanden) for statsadvokaten i alle sager om overtrædelse af databeskyttelsesreglerne.

Se nærmere under pkt. 3.7.

-

sagerne ikke må afgøres med bødeforelæg, før sanktionsniveauet er tilstrækkelig afklaret i retspraksis.

-

sager, hvor anklagemyndigheden ikke har fået medhold i tiltalen og/eller strafpåstanden, skal forelægges for statsadvokaten, inden ankefristens udløb.

Se nærmere under pkt. 6.2.

-

endelige domme skal indberettes til Rigsadvokaten, herunder med henblik på optagelse i Vidensbasen.

Se nærmere under pkt. 6.3 .

-

At sager om overtrædelse af tv-overvågningslovens § 4 c , skal behandles efter særlige retningslinjer bl.a. med henblik på at sikre, at evt.

bødeudmåling i sagerne sker under iagttagelse af bødeniveauet for overtrædelse af databeskyttelsesforordningen og databeskyttelsesloven.

Retningslinjerne er nærmere beskrevet under pkt. 3.9. , pkt. 6.1. og pkt. 6.2.

Retningslinjerne indebærer bl.a., at

-

sagerne – på samme måde som sager om overtrædelse af databeskyttelsesreglerne – skal forelægges for både Datatilsynet og statsadvokaten.

Det indebærer bl.a. at Datatilsynet skal høres, inden der træffes afgørelse om tiltalespørgsmålet, og at politikredsen skal forelægge tiltalespørgsmålet (herunder strafpåstanden) for statsadvokaten.

Se nærmere under pkt. 3.9.1.

-

sagerne ikke må afgøres med bødeforelæg, før sanktionsniveauet er tilstrækkelig afklaret i retspraksis.

-

sager, hvor anklagermyndigheden ikke har fået medhold i tiltalen og/eller strafpåstanden, skal forelægges for statsadvokaten og for Datatilsynet, inden ankefristens udløb.

Se nærmere under pkt. 6.1. og pkt. 6.2.

-

At sager om overtrædelser (af f.eks. straffeloven, sundhedsloven eller anden særlovgivning) med databeskyttelsesretlige elementer , hvori der vil blive nedlagt påstand om bødestraf , skal behandles efter særlige retningslinjer bl.a. med henblik på at sikre, at bødeudmålingen i sagerne i relevant omfang sker under iagttagelse af bødeniveauet for overtrædelse af databeskyttelsesforordningen og databeskyttelsesloven.

Retningslinjerne er nærmere beskrevet under pkt. 3.10.

Retningslinjerne indebærer bl.a., at

-

politikredsen i alle sager skal forelægge tiltalespørgsmålet (herunder bødepåstanden) for statsadvokaten.

Se nærmere under pkt. 3.10.4 .

I sager, hvor der vil blive nedlagt påstand om bødestraf udmålt under iagttagelse af bødeniveauet for overtrædelse af databeskyttelsesforordningen og databeskyttelsesloven , indebærer retningslinjerne endvidere, at

-

statsadvokaterne indtil videre skal drøfte bødepåstanden med Datatilsynet i forbindelse med forelæggelsen.

Se nærmere under pkt. 3.10.4.

-

sagerne ikke må afgøres med bødeforelæg, før sanktionsniveauet er tilstrækkelig afklaret i retspraksis.

-

sager, hvor anklagemyndigheden ikke har fået medhold i tiltalen og/eller strafpåstanden, skal forelægges for statsadvokaten, inden ankefristens udløb.

Se nærmere under pkt. 3.10.4. og pkt. 6.2.

-

det generelle notat om ”Overtrædelser af straffeloven og andre særregler med databeskyttelsesretlige elementer”, Datatilsynets ”Bødevejledning – Udmåling af bøder til fysiske personer” og ”Notat om Datatilsynets behandling af sager om såkaldt registermisbrug, mv.” skal i relevant omfang bilageres ind på alle sager.

Se nærmere under pkt. 3.10.5.

-

At visse sager om overtrædelser med databeskyttelsesretlige elementer kan være undtaget fra retningslinjerne , hvis der i forarbejderne til loven er angivet et klart udgangspunkt for bødeniveauet, hvilket der bl.a. er i forarbejderne til straffelovens § 264 e om identitetstyveri.

Se nærmere under pkt. 3.10.9.

-

politikredsen skal forelægge tiltalespørgsmålet (herunder strafpåstanden) for statsadvokaten i alle sager om overtrædelse af databeskyttelsesreglerne, se nærmere nedenfor under pkt. 3.4.3 og pkt. 3.7. ,

-

sager, hvor politikredsen vurderer, at der kan ske henlæggelse eller påtaleopgivelse efter retsplejelovens §§ 749 eller 721, skal dog ikke forelægges for statsadvokaten, hvis beslutningen herom er i overensstemmelse med udtalelsen fra Datatilsynet, jf. nedenfor pkt. 3.5.1.1, eller hvis der undtagelsesvist ikke har været grundlag for at høre Datatilsynet, jf. nedenfor pkt. 3.5.1.

-

sager om overtrædelse af databeskyttelsesreglerne ikke må afgøres med bødeforelæg, før sanktionsniveauet er tilstrækkelig afklaret i retspraksis, og

-

politikredsen skal forelægge alle domme, hvor anklagemyndigheden ikke har fået fuldt medhold (herunder i strafpåstanden), for statsadvokaten, inden ankefristens udløb, se nærmere nedenfor pkt. 6.

-

Identifikation af eventuelle straffeprocessuelle og/eller databeskyttelsesretlige problemstillinger,

-

Sagens videre forløb og

-

Bevissikring, herunder rollefordelingen mellem politiet og Datatilsynet.

-

En beskrivelse af handlingen/undladelsen.

-

Hvis der er tale om en offentliggørelse af personoplysninger på sociale medier, skal der vedlægges oplysninger om den profil, hvorfra offentliggørelsen er sket.

Det skal bl.a. oplyses, hvorvidt der er tale om en åben/lukket profil eller gruppe og hvor mange personer, der umiddelbart har/har haft adgang til de pågældende personoplysninger.

-

Hvilke personoplysninger der er tale om.

Se nærmere om de forskellige typer af personoplysninger under pkt. 4.1.2.

-

Angivelse af dato hhv.

tidsperiode.

-

Evt.

angivelse af antallet af berørte registrerede.

-

Anmelders forklaring, medmindre sagen er tilstrækkelig oplyst til, at Datatilsynet kan afgive en foreløbig udtalelse om overtrædelsens strafværdighed.

-

Beskrivelse af handlingen/undladelsen.

-

Hvis der er tale om en offentliggørelse af personoplysninger på sociale medier, skal der vedlægges oplysninger om den profil, hvorfra offentliggørelsen er sket.

Det skal bl.a. oplyses, hvorvidt der er tale om en åben/lukket profil eller gruppe, og hvor mange personer der umiddelbart har/har haft adgang til de pågældende personoplysninger.

-

Hvilke personoplysninger der er tale om.

Se nærmere om de forskellige typer af personoplysninger under pkt. 4.1.2.

-

Angivelse af dato hhv.

tidsperiode.

-

Evt.

angivelse af antallet af berørte registrerede.

-

Dokumentation for den pågældende behandling af personoplysninger.

-

Hvis der er tale om omfattende materiale, skal der så vidt muligt henvises til det konkrete forhold i materialet ved angivelse af sidetal mv.

-

Anmelders og anmeldtes forklaring.

-

at Datatilsynet skal høres, inden der træffes afgørelse om tiltalespørgsmålet,

-

at tilsynets udtalelse bl.a. vil indeholde en udtalelse om sanktionsniveauet, og

-

at tiltalespørgsmålet (herunder strafpåstanden) skal forelægges for statsadvokaten.

-

at statsadvokaterne skal drøfte bødepåstanden med Datatilsynet i forbindelse med kredsens forelæggelse af sagen, som anført under pkt. 3.10.4.

-

at sagerne ikke må afgøres med bødeforelæg, som anført under pkt. 3.10.4. , og

-

at det generelle notat ”Overtrædelser af straffeloven og andre særregler med databeskyttelsesretlige elementer” og Datatilsynets ”Bødevejledning – Udmåling af bøder til fysiske personer” skal bilageres ind på sagerne, som beskrevet under pkt. 3.10.5.

-

at bødepåstanden ikke skal drøftes med Datatilsynet

-

at sagerne godt kan afgøres med bødeforelæg (hvis der i øvrigt er grundlag for det)

-

at det generelle notat ”Overtrædelser af straffeloven og andre særregler med databeskyttelsesretlige elementer” og Datatilsynets ”Bødevejledning – Udmåling af bøder til fysiske personer” ikke skal bilageres ind på sagerne

1)

Almindelige personoplysninger , jf. forordningens artikel 6.

2)

Særlige kategorier af personoplysninger ( følsomme personoplysninger ), jf. forordningens artikel 9.

3)

Herudover findes der regler i databeskyttelsesloven, der særligt regulerer behandling af oplysninger om straffedomme og lovovertrædelser (strafbare forhold) , jf. databeskyttelseslovens § 8, og behandling af oplysninger om personnummer , jf. databeskyttelseslovens § 11.

-

Regler for, hvornår der må behandles personoplysninger, også kaldet behandlingsgrundlag , jf. forordningens artikel 6-10 og databeskyttelseslovens kapitel 3.

-

Se nærmere om begrebet ”behandling” ovenfor under pkt. 4.1.1.2.

-

Regler om grundlæggende principper for behandling af personoplysninger, jf. forordningens artikel 5.

-

Disse principper skal altid være opfyldt ved enhver behandling af personoplysninger.

-

Regler om generelle forpligtelser for den dataansvarlige og databehandleren , jf. forordningens kapitel IV.

-

Se nærmere om begreberne ”dataansvarlig” og ”databehandler” ovenfor under pkt. 4.1.1.4.

-

Regler om den registreredes rettigheder , jf. forordningens kapitel III og artikel 34 samt databeskyttelseslovens §§ 22-23.

-

Se nærmere om begrebet ”den registrerede” ovenfor under pkt. 4.1.1.3.

-

Regler om behandlingssikkerhed , jf. forordningens artikel 32.

-

Regler om overførsel af personoplysninger til tredjelande eller internationale organisationer, jf. forordningens kapitel V.

1)

den registrerede har givet sit udtrykkelige samtykke,

2)

videregivelsen følger af lov, eller

3)

videregivelsen sker til politiet i kriminalitetsopklarende øjemed.

-

Databeskyttelse er en grundlæggende rettighed efter EU’s Charter om grundlæggende rettigheder og traktaten om Den Europæiske Unions funktionsmåde (TEUF).

Det fremgår af databeskyttelsesforordningens præambelbetragtning 1.

-

Den hastige teknologiske udvikling og globaliseringen har skabt nye udfordringer, hvad angår beskyttelse af personoplysninger.

Denne udvikling kræver en stærk og mere sammenhængende databeskyttelsesramme i EU, som understøttes af effektiv håndhævelse for at skabe den tillid, der gør det muligt, at den digitale økonomi kan udvikle sig på det indre marked.

-

De hidtidige regler om databeskyttelse blev implementeret forskelligt i de forskellige EU-lande, og der har derfor været forskellige beskyttelsesniveauer.

Det fremgår af databeskyttelsesforordningens præambelbetragtning 9.

-

De nye regler skal sikre et ensartet og højt niveau for beskyttelse af fysiske personer og fjerne hindringerne for udveksling af personoplysninger inden for EU, og reglerne skal anvendes konsekvent og ensartet i EU.

Det fremgår af databeskyttelsesforordningens præambelbetragtning 10.

-

Der skal være harmonisering mellem sanktionerne i de forskellige EU lande, så dataansvarlige og databehandlere ikke kan ”forum-shoppe”, dvs. spekulere i at etablere sig i lande, hvor strafniveauet er lavere end i andre lande.

Det fremgår bl.a. af Betænkning nr. 1565 afgivet af Justitsministeriet om Databeskyttelsesforordningen (2016/679) – de retlige rammer for dansk lovgivning.

-

For at styrke håndhævelsen af forordningens regler bør der pålægges sanktioner for overtrædelse af forordningen.

Det fremgår af forordningens præambelbetragtning 148.

-

De pålagte bøder bør være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.

Det fremgår af forordningens præambelbetragtning 151.

-

Overtrædelsens karakter, alvor og varighed under hensyntagen til den pågældende behandlings karakter, omfang eller formål samt antal registrerede, der er berørt, og omfanget af den skade, som de har lidt,

-

hvorvidt overtrædelsen blev begået forsætligt eller uagtsomt,

-

eventuelle foranstaltninger der er truffet af den dataansvarlige eller databehandleren for at begrænse den skade, som den registrerede har lidt,

-

den dataansvarliges eller databehandlerens grad af ansvar under hensyntagen til tekniske og organisatoriske foranstaltninger, som de har gennemført,

-

den dataansvarliges eller databehandlerens eventuelle relevante tidligere overtrædelser,

-

graden af samarbejde med tilsynsmyndigheden for at afhjælpe overtrædelsen og begrænse de negative konsekvenser, som overtrædelsen måtte have givet anledning til,

-

de kategorier af personoplysninger, der er berørt af overtrædelsen,

-

den måde hvorpå tilsynsmyndigheden fik kendskab til overtrædelsen, navnlig om den dataansvarlige eller databehandleren har underrettet om overtrædelsen, og i givet fald i hvilket omfang,

-

overholdelse af eventuelt tidligere korrigerende beføjelser, som Datatilsynet har truffet afgørelse om over for den pågældende dataansvarlige eller databehandler med hensyn til samme genstand,

-

overholdelse af godkendte adfærdskodekser eller certificeringsmekanismer, og

-

om der er andre skærpende eller formildende faktorer ved sagens omstændigheder, såsom opnåede økonomiske fordele eller undgåede tab som direkte eller indirekte følge af overtrædelsen.

Grundbeløb

Justering på baggrund af en konkret vurdering af overtrædelsens karakter, alvor og varighed (+/-)

Skærpende omstændigheder (+)

Formildende omstændigheder (-)

Bødens størrelse med hensyntagen til overtrædelse og sagens omstændigheder

Eventuel justering for databeskyttelsesforordningens maksimum (-)

Eventuel justering efter betalingsevne (-)

Endeligt bødebeløb

-

Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

-

Berigtigelse af 23. maj 2018 til Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

-

Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven)

-

Lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders behandling af personoplysninger

-

Lov nr. 503 af 23. maj 2018 om ændring af lov om retshåndhævende myndigheders behandling af personoplysninger, lov om massemediers informationsdatabaser og forskellige andre love (konsekvensændringer som følge af databeskyttelsesloven og databeskyttelsesforordningen samt massemedieansvarslovens anvendelse på offentligt tilgængelige informationsdatabaser m.v.)

-

Lov nr. 506 af 23. maj 2018 om ændring af lov om tv-overvågning og lov om retshåndhævende myndigheders behandling af personoplysninger

-

Lovforslag nr. L 68 af 25. oktober 2017 om lov om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven) .

-

Betænkning nr. 1565 afgivet af Justitsministeriet om Databeskyttelsesforordningen (2016/679) – de retlige rammer for dansk lovgivning .

-

Betænkning afgivet af Retsudvalget den 9. maj 2018 over Forslag til lov om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven)

-

Lovforslag nr. 205 af 21. marts 2018 om ændring af lov om tv-overvågning og lov om retshåndhævende myndigheders behandling af personoplysninger

-

Diverse vejledninger på Datatilsynets hjemmeside , bl.a.

-

Generel informationspjece om Databeskyttelsesforordningen

-

Artikel 29-gruppens retningslinjer af 3. oktober 2017 vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med forordning (EU) 16/679.

-

Overførsel til tredjelande

-

Samtykke

-

Dataansvarlige og databehandlere

-

Registreredes rettigheder

-

Bødevejledning om udmåling af bøder til fysiske personer

-

Bødevejledning om udmåling af bøder til virksomheder